Die typischen Schwachstellen
Aus Sicherheitsprüfungen kenne ich immer dieselben Punkte: Remotedesktop direkt aus dem Internet erreichbar, VPN ohne zweiten Faktor, private Rechner ohne Verschlüsselung und Updates, Firmendaten auf lokalen Festplatten ohne Backup, geteilte Passwörter für Fernzugänge. Jeder dieser Punkte reicht für einen erfolgreichen Angriff, und Ransomware-Gruppen suchen genau danach.
Zugang: VPN statt offener Ports
Kein Dienst des Unternehmens sollte direkt aus dem Internet erreichbar sein, weder Remotedesktop noch NAS noch die Branchensoftware. Der Weg ins Firmennetz führt über ein VPN mit moderner Verschlüsselung, zum Beispiel WireGuard oder IPsec auf einer OPNsense-Firewall, mit persönlichen Zugängen pro Mitarbeiter, die sich einzeln sperren lassen. Wer ausschließlich Cloud-Dienste wie Microsoft 365 nutzt, braucht kein VPN, dafür aber umso strengere Anmeldeschutzmaßnahmen.
Anmeldung: Zweiter Faktor und Passkeys
Passwörter allein schützen nicht mehr, sie werden abgefischt oder aus alten Datenlecks ausprobiert. Mehrfaktor-Anmeldung per App oder Hardware-Schlüssel gehört auf jeden Zugang: VPN, E-Mail, Microsoft 365, Kundenportale, Fernwartung. Noch besser sind Passkeys nach dem FIDO2-Standard: Sie sind phishing-resistent, weil sie an die echte Webseite gebunden sind, und für Mitarbeiter einfacher als Codes abtippen. Ein Passwortmanager für das Team sorgt dafür, dass keine Passwörter mehr in Excel-Listen landen.
Geräte: Firmengeräte oder klare Regeln
- Firmengeräte statt privater Rechner: verwaltbar, verschlüsselt, mit Updates und ohne Familiennutzung
- Festplattenverschlüsselung mit BitLocker oder FileVault, damit ein gestohlenes Notebook kein Datenleck ist
- Keine Administratorrechte im Alltag, automatische Updates, Virenschutz mit zentraler Verwaltung
- Bildschirmsperre, Fernlöschung über Intune oder ein vergleichbares Werkzeug bei Verlust
- Wenn private Geräte unvermeidbar sind: Zugriff nur über Terminalserver oder Browser, keine lokalen Firmendaten
Daten: zentral statt lokal
Firmendaten gehören auf zentrale, gesicherte Systeme: Dateiserver, NAS mit Snapshots, SharePoint oder OneDrive mit Backup. Lokale Kopien auf dem Notebook sind Arbeitskopien, keine Ablage. So bleibt das Backup an einem Ort, Berechtigungen werden zentral verwaltet, und beim Ausscheiden eines Mitarbeiters ist klar, wo die Daten liegen.
Checkliste für den Start
- Alle aus dem Internet erreichbaren Dienste inventarisieren und hinter VPN oder Cloud-Anmeldeschutz legen
- Mehrfaktor-Anmeldung überall aktivieren, Passkeys, wo der Dienst es anbietet
- Firmennotebooks verschlüsseln, Updates und Virenschutz zentral steuern
- Zentrale Datenablage mit Backup, lokale Kopien vermeiden
- Regeln schriftlich festhalten: Geräte, Passwörter, Meldung von Vorfällen, Verhalten bei verdächtigen Mails
- Einmal im Jahr prüfen lassen, ob die Maßnahmen noch greifen
Häufige Fragen dazu
Ist Remotedesktop mit Portweiterleitung wirklich so gefährlich?
Ja. Offene Remotedesktop-Ports werden automatisiert gescannt und mit gestohlenen Zugangsdaten angegriffen, das ist einer der häufigsten Einstiege für Ransomware. Remotedesktop gehört ausschließlich hinter ein VPN oder ein Gateway mit Mehrfaktor-Anmeldung.
Reicht die Mehrfaktor-Anmeldung per SMS?
Besser als nichts, aber SMS lässt sich abfangen und umleiten. Eine Authentifizierungs-App, ein Hardware-Schlüssel oder Passkeys sind deutlich sicherer und für Mitarbeiter im Alltag nicht aufwendiger.
Was kostet ein sicheres Homeoffice-Setup?
Für ein kleines Unternehmen: eine Firewall mit VPN ab etwa 590 € Einrichtung, Mehrfaktor-Anmeldung ist bei den meisten Diensten ohne Zusatzkosten enthalten, Verschlüsselung ist Bordmittel. Der größte Posten sind meist die Firmengeräte selbst.
Hilfe bei der Umsetzung? Ich setze das für Sie um, remote oder vor Ort in Wien, mit Festpreis oder nach Aufwand. Anfrage senden →